ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問79 対策での経営者の役割

ITパスポート 令和8年度 公開問題、全100問のうちの問79。

出典：令和8年度 ITパスポート試験 公開問題 問79

企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において，経営者に求められる役割として，最も適切なものはどれか。

  1. アIT 部門のセキュリティ担当者に，部門ごとのサイバーセキュリティリスク対応方針の策定と実行を全て任せる。
  2. イサイバーセキュリティ対策を実施する上での責任者となる CISO を任命し，実行や判断を全て任せる。
  3. ウ実施方針の検討，予算や人材の割当て，実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。
  4. エ専門家である外部の経営コンサルタントに，自社の組織や事業におけるリスクの分析と対策の推進に関する権限と責任を委譲する。
答えと解説を開く

正解はウです。

サイバー攻撃の被害は、事業が止まる、信用を失うなど、会社の経営そのものに響きます。そのため経営者は、担当者や外部に丸投げせず、方針を考え、予算と人材を割り当て、きちんと進んでいるかを確かめて問題に手を打つ、という形で自ら先頭に立つことが求められます。経済産業省と IPA の「サイバーセキュリティ経営ガイドライン」もこの考え方です。だから正解はウです。

ほかの選択肢が違う理由

  • アIT 部門の担当者に全て任せると、経営としての判断や予算の裏付けがなくなります。経営者が関わる必要があります。
  • イCISO を任命するのは良いことですが、「全て任せる」のは誤りです。最終的な責任は経営者にあり、経営者も関わり続けます。
  • エ外部のコンサルタントに助言を受けるのはよくても、権限と責任まで渡すのは誤りです。責任は会社の経営者が持ちます。

仕組み

CISO (最高情報セキュリティ責任者) は、会社の情報セキュリティを取りまとめる役員です。経営者はこの人を任命し、いっしょに取り組みます。

任せることはできても、責任まで外に出すことはできない、というのがリスクマネジメントの基本です。